US-Wasserwerke leicht über das Internet angreifbar

Einem Hacker ist es gelungen, in das Netzwerk eines Wasserversorgers in den USA einzudringen. Ihm war es möglich, eine Pumpe mehrfach an- und abzuschalten. Das führte letztlich zu ihrem Ausfall, was der Angreifer aber offenbar nicht unbedingt beabsichtigt hatte. Vielmehr sei es ihm darum gegangen, auf Sicherheitslücken im Supervisor Control And Data Acquisition (SCADA)-System hinzuweisen. Dieses dient der netzwerkbasierten Überwachung und Steuerung der Anlagen. Die betroffene Anlage steht den Angaben des Blogs 'ThreatPost' zufolge im US-Bundesstaat Illinois.

Nach dem offenbar ersten erfolgreichen Angriff auf eine kritische Infrastruktur der USA übernahmen die US-Bundespolizei FBI und das US-Heimatschutzministerium die Ermittlungen. Nachdem es von dieser Seite aus erst hieß, es sei unwahrscheinlich, dass noch andere Anlagen betroffen sind, veröffentlichte ein Hacker unter dem Pseudonym "pr0f" allerdings auch Screenshots der Kontrolloberfläche eines weiteren Wasserwerkes. Ob es sich in beiden Fällen um den gleichen Angreifer handelt, ist unklar.

Aktuell gibt es nämlich noch keine Hinweise darauf, wer die Attacke durchgeführt haben könnte. Die erste Verbindung führt zwar zu einer russischen IP-Adresse, allerdings dürfte es sich dabei lediglich um einen Proxy handeln, über den der Hacker seine Herkunft verschleierte.

Grundsätzlich geht es in der Sache um die allgemeine Sicherheit des SCADA-Systems. Dieses ist lediglich rudimentär gegen Angriffe gesichert - so gibt es zwar eine Passwort-Authentifizierung, aber keine weitergehenden Schutzmaßnahmen. Ein unsicheres Passwort genügte im aktuellen Fall beispielsweise, um in das System zu gelangen.

Ein weiteres Problem ist, dass die SCADA-Installationen in der Regel ans Internet angebunden sind und sich mit Suchmaschinen leicht finden lassen. Pr0f führte aus, dass er an dieser Stelle keine Geschichte von einer Gefahr durch ausgeklügelte Angriffe erzählen könne. Das Problem liege eher in der ungenügenden Sicherheit und der dazukommenden Dummheit der Verantwortlichen.